NPM માં નબળાઈ જે સિસ્ટમ પર ફાઈલોના ઓવરરાઈટીંગ તરફ દોરી જાય છે

GitHub એ tar અને @npmcli/arborist પેકેજોમાં સાત નબળાઈઓની વિગતો જાહેર કરી છે, જે ટાર આર્કાઇવ્સ સાથે કામ કરવા અને Node.js માં નિર્ભરતા વૃક્ષની ગણતરી કરવા માટે કાર્યો પૂરા પાડે છે. નબળાઈઓ, ખાસ રીતે રચાયેલ આર્કાઈવને અનપેક કરતી વખતે, રુટ ડિરેક્ટરીની બહારની ફાઇલોને ઓવરરાઈટ કરવાની મંજૂરી આપે છે જેમાં અનપેકિંગ કરવામાં આવે છે, જ્યાં સુધી વર્તમાન ઍક્સેસ અધિકારો પરવાનગી આપે છે. સમસ્યાઓ સિસ્ટમ પર મનસ્વી કોડના અમલને વ્યવસ્થિત કરવાનું શક્ય બનાવે છે, ઉદાહરણ તરીકે, ~/.bashrc અથવા ~/.profile માં આદેશો ઉમેરીને જ્યારે કોઈ બિનપ્રાપ્તિહીત વપરાશકર્તા દ્વારા ઑપરેશન કરવામાં આવે છે, અથવા સિસ્ટમ ફાઇલોને બદલીને જ્યારે ચલાવી રહ્યા હોય ત્યારે મૂળ

નબળાઈઓનો ખતરો એ હકીકતને કારણે વધી જાય છે કે એનપીએમ પેકેજો સાથે ઓપરેશન કરતી વખતે એનપીએમ પેકેજ મેનેજરમાં સમસ્યારૂપ કોડનો ઉપયોગ કરવામાં આવે છે, જે રિપોઝીટરીમાં ખાસ ડિઝાઇન કરેલ એનપીએમ પેકેજ મૂકીને વપરાશકર્તાઓ પર હુમલો કરવાનું શક્ય બનાવે છે. જેમાંથી સિસ્ટમ પર હુમલાખોરના કોડને એક્ઝિક્યુટ કરશે. "-ignore-scripts" મોડમાં પેકેજો ઇન્સ્ટોલ કરતી વખતે પણ હુમલો શક્ય છે, જે બિલ્ટ-ઇન સ્ક્રિપ્ટ્સના અમલને અક્ષમ કરે છે. કુલ મળીને, npm સાતમાંથી ચાર નબળાઈઓ (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 અને CVE-2021-39135)ને અસર કરે છે. પ્રથમ બે સમસ્યાઓ ટાર પેકેજને લગતી છે, અને બાકીની બે સમસ્યાઓ @npmcli/arborist પેકેજને લગતી છે.

સૌથી ખતરનાક નબળાઈ, CVE-2021-32804, એ હકીકતને કારણે થાય છે કે જ્યારે ટાર આર્કાઇવમાં ઉલ્લેખિત સંપૂર્ણ પાથ સાફ કરવામાં આવે છે, ત્યારે પુનરાવર્તિત "/" અક્ષરો ખોટી રીતે પ્રક્રિયા કરવામાં આવે છે - ફક્ત પ્રથમ અક્ષર દૂર કરવામાં આવે છે, જ્યારે બાકીના બાકી રહે છે. ઉદાહરણ તરીકે, પાથ "/home/user/.bashrc" ને "home/user/.bashrc" અને પાથ "//home/user/.bashrc" ને "/home/user/.bashrc" માં રૂપાંતરિત કરવામાં આવશે. બીજી નબળાઈ, CVE-2021-37713, ફક્ત વિન્ડોઝ પ્લેટફોર્મ પર જ દેખાય છે અને તે સંબંધિત પાથની ખોટી સફાઈ સાથે સંકળાયેલ છે જેમાં અમર્યાદિત ડ્રાઈવ કેરેક્ટર (“C:some\path”) અને પાછલી ડિરેક્ટરી પર પાછા ફરવાનો ક્રમ શામેલ છે. "C:../foo") .

નબળાઈઓ CVE-2021-39134 અને CVE-2021-39135 @npmcli/arborist મોડ્યુલ માટે વિશિષ્ટ છે. પ્રથમ સમસ્યા ફક્ત એવી સિસ્ટમો પર જ દેખાય છે જે ફાઇલ સિસ્ટમ (મેકઓએસ અને વિન્ડોઝ) માં અક્ષરોના કેસને અલગ પાડતી નથી, અને તમને નિર્ભરતા વચ્ચેના બે મોડ્યુલો "foo" નો ઉલ્લેખ કરીને ફાઇલ સિસ્ટમના મનસ્વી ભાગમાં ફાઇલો લખવાની મંજૂરી આપે છે. : "file:/some/path"' અને 'FOO: "file:foo.tgz"', જેનું પ્રોસેસિંગ /some/path ડિરેક્ટરીના વિષયવસ્તુને કાઢી નાખવા અને foo.tgz ની સામગ્રીને તેના પર લખવા તરફ દોરી જશે. બીજી સમસ્યા સાંકેતિક લિંક મેનીપ્યુલેશન દ્વારા ફાઇલોને ઓવરરાઇટ કરવાની મંજૂરી આપે છે.

Node.js રીલીઝ 12.22.6 અને 14.17.6, npm CLI 6.14.15 અને 7.21.0 અને વ્યક્તિગત ટાર પેકેજ રીલીઝ 4.4.19, 5.0.11 અને 6.1.10 માં નબળાઈઓને ઉકેલવામાં આવે છે. "બગ બાઉન્ટી" પહેલના ભાગ રૂપે સમસ્યા વિશેની માહિતી પ્રાપ્ત કર્યા પછી, GitHub એ સંશોધકોને $14500 ચૂકવ્યા અને રિપોઝીટરીની સામગ્રીને સ્કેન કરી, જેણે નબળાઈઓનો ઉપયોગ કરવાના પ્રયાસો જાહેર કર્યા નથી. આ મુદ્દાઓ સામે રક્ષણ આપવા માટે, GitHub એ NPM પેકેજો પ્રકાશિત કરવા પર પણ પ્રતિબંધ મૂક્યો છે જેમાં સાંકેતિક લિંક્સ, હાર્ડ લિંક્સ અને રિપોઝીટરીના સંપૂર્ણ પાથનો સમાવેશ થાય છે.

સોર્સ: opennet.ru